Artikel 7 kræver, at hvert EU-land vedtager en national cybersikkerhedsstrategi. Strategien skal sætte mål, afsætte ressourcer og fastlægge, hvem der har ansvar for hvad.
Strategien skal dække sektorerne i bilag I og II. Den skal indeholde en risikokortlægning, en beredskabsplan og regler for samarbejde mellem offentlige og private aktører.
Strategien skal også indeholde politikker for forsyningskædesikkerhed, offentlige it-indkøb, sårbarhedshåndtering og cyberhygiejne. Uddannelse og forskning i cybersikkerhed er en del af kravene. Strategien skal desuden styrke cyberrobusthed i SMV’er.
Landet skal sende strategien til Kommissionen inden for tre måneder efter vedtagelsen. Strategien gennemgås og opdateres mindst hvert femte år. ENISA kan hjælpe med at udvikle og evaluere strategien.
Eksempler
Danmark udgiver sin nationale cybersikkerhedsstrategi og sender den til EU-Kommissionen inden for tre måneder. Strategien prioriterer energi- og sundhedssektoren og beskriver, hvordan CSIRT’en koordinerer med sektorernes tilsynsmyndigheder.
En dansk SMV, der ikke er direkte underlagt NIS2, kan finde gratis vejledning og tjeklister om cyberhygiejne, som myndighederne udgiver som en del af strategiens SMV-indsats.
Relevante præambler:
Ofte stillede spørgsmål
Hvad skal Danmarks nationale cybersikkerhedsstrategi indeholde?
Strategien skal fastsætte mål og ressourcer, beskrive styringsrammen og dække forsyningskædesikkerhed, cyberhygiejne, uddannelse og sårbarhedshåndtering. Den signalerer, hvilke sektorer og risici myndighederne prioriterer.
Har den nationale cybersikkerhedsstrategi direkte konsekvenser for min virksomhed?
Ikke direkte. Strategien er rettet mod staten. Men den viser, hvad myndighederne prioriterer i tilsynet. Hold øje med opdateringer for at forstå det regulatoriske fokus.
Nævner strategien noget om cyberhygiejne og uddannelse?
Ja. Strategien skal indeholde en politik for cyberhygiejne rettet mod borgere, myndigheder og virksomheder. Den skal også dække uddannelse og træningsprogrammer, som støtter artikel 20‘s krav om ledelsesuddannelse.
Indeholder NIS2's krav til den nationale strategi noget om ransomware?
Ja. Strategien skal indeholde en politik for koordineret offentliggørelse af sårbarheder. Den skal dække bredere trusler mod sektorerne i bilag I og II, herunder ransomware.
Den originale tekst fra direktivet
Stk. 1.
Hver medlemsstat vedtager en national cybersikkerhedsstrategi, der fastlægger de strategiske mål, de nødvendige ressourcer til at nå disse mål, og passende politiske og lovgivningsmæssige foranstaltninger med henblik på at opnå og opretholde et højt cybersikkerhedsniveau. Den nationale cybersikkerhedsstrategi skal omfatte:
- mål og prioriteter for medlemsstatens cybersikkerhedsstrategi, navnlig for de sektorer, der er omhandlet i bilag I og bilag II
- en styringsramme med henblik på at nå de i dette stykkes litra a) omhandlede mål og prioriteter, herunder de politikker, der er omhandlet i stk. 2
- en styringsramme, der præciserer de relevante interessenters roller og ansvarsområder på nationalt plan og understøtter samarbejdet og koordineringen på nationalt plan mellem de kompetente myndigheder, de centrale kontaktpunkter og CSIRT’erne i henhold til dette direktiv samt koordinering og samarbejde mellem disse organer og kompetente myndigheder i henhold til sektorspecifikke EU-retsakter
- en mekanisme til at identificere relevante aktiver og en vurdering af risiciene i den pågældende medlemsstat
- en identifikation af de foranstaltninger, der sikrer beredskabet for og evnen til at reagere på og reetablere sig efter hændelser, herunder samarbejde mellem den offentlige og den private sektor
- en liste over de forskellige myndigheder og interessenter, der er involveret i gennemførelsen af den nationale cybersikkerhedsstrategi
- en politisk ramme for øget koordinering mellem de kompetente myndigheder i henhold til dette direktiv og de kompetente myndigheder i henhold til direktiv (EU) 2022/2557 med henblik på udveksling af oplysninger om risici, cybertrusler og hændelser samt om ikke-cyberrelaterede risici, trusler og hændelser og udøvelse af tilsynsopgaver, alt efter hvad der er relevant.
- en plan, herunder med de nødvendige foranstaltninger, for højnelse af borgernes generelle bevidsthed om cybersikkerhed.
Stk. 2.
Som led i den nationale cybersikkerhedsstrategi skal medlemsstaterne navnlig vedtage politikker for:
- håndtering af cybersikkerhed i forsyningskæden for IKT-produkter og -tjenester, der anvendes af enheder til levering af deres tjenester
- inklusion og specificering af cybersikkerhedsrelaterede krav til IKT-produkter og -tjenester i forbindelse med offentlige indkøb, herunder vedrørende cybersikkerhedscertificering, kryptering og brugen af open source-cybersikkerhedsprodukter
- håndtering af sårbarheder, der omfatter fremme og facilitering af koordineret offentliggørelse af sårbarheder i henhold til artikel 12, stk. 1
- opretholdelse af den generelle tilgængelighed, integritet og fortrolighed af den offentlige centrale del af det åbne internet, herunder, hvor det er relevant, undersøiske kommunikationskablers cybersikkerhed
- fremme af udviklingen og integrationen af relevante avancerede teknologier, der har til formål at gennemføre foranstaltninger på det aktuelle teknologiske stade til styring af cybersikkerhedsrisici
- fremme og udvikling af uddannelse i cybersikkerhed, cybersikkerhedsfærdigheder, -bevidstgørelse og -forskning og -udviklingsinitiativer samt vejledning om god praksis for og kontrol med cyberhygiejne rettet mod borgere, interessenter og enheder
- støtte til akademiske institutioner og forskningsinstitutioner med henblik på at udvikle, forbedre og fremme udbredelsen af cybersikkerhedsværktøjer og sikker netinfrastruktur
- indførelse af relevante procedurer og passende informationsdelingsværktøjer til støtte for frivillig udveksling af cybersikkerhedsoplysninger mellem enheder i overensstemmelse med EU-retten
- styrkelse af den grundlæggende cyberrobusthed og cyberhygiejne i små og mellemstore virksomheder, navnlig dem, der er udelukket fra dette direktivs anvendelsesområde, ved at yde let tilgængelig vejledning og bistand til opfyldelse af deres specifikke behov
- fremme af aktiv cyberbeskyttelse.
Stk. 3.
Medlemsstaterne underretter Kommissionen om deres nationale cybersikkerhedsstrategier senest tre måneder efter vedtagelsen deraf. Medlemsstaterne kan udelade oplysninger, der vedrører deres nationale sikkerhed, fra sådanne underretninger.
Stk. 4.
Regelmæssigt og mindst hvert femte år vurderer og om fornødent ajourfører medlemsstaterne deres nationale cybersikkerhedsstrategier på grundlag af centrale præstationsindikatorer. ENISA bistår på anmodning medlemsstaterne med at udvikle eller ajourføre en national strategi og nøgleresultatindikatorer til vurdering af denne strategi med henblik på at bringe den i overensstemmelse med de krav og forpligtelser, der er fastsat i dette direktiv.